Бессерверное приложение (одна функция Lambda и один бакет S3) развертывается с помощью AWS SAM. Функции Lambda требуется только доступ на чтение к бакету S3. Как шаблон SAM должен предоставить функции необходимые разрешения на чтение?

Правильный ответ — «Добавить управляемую политику S3ReadPolicy в роль выполнения функции Lambda». Для предоставления функции Lambda разрешений на доступ к другим сервисам AWS, таким как S3, необходимо прикрепить соответствующую политику IAM к роли выполнения Lambda. Управляемая политика AmazonS3ReadOnlyAccess (или S3ReadPolicy в контексте вопроса) предоставляет необходимые разрешения только для чтения объектов из бакета S3. Неправильные варианты: Ссылка на вторую функцию-авторизатор Lambda не подходит, так как авторизаторы используются для контроля доступа к API Gateway, а не для предоставления разрешений самой функции Lambda на доступ к S3. Прикрепление пользовательской политики бакета S3 к функции Lambda не является стандартным способом предоставления разрешений функции. Политики бакетов контролируют, кто может получить доступ к бакету, но функция Lambda получает свои разрешения через свою роль выполнения. Создание топика Amazon SQS, разрешающего только чтение объектов S3, не имеет отношения к предоставлению разрешений Lambda на чтение из S3. SQS используется для обмена сообщениями, а не для управления доступом к S3.